変更要約: MD-102 第3章を新規作成（ドメイン: デバイスの保護）。エンドポイント セキュリティ（antivirus/disk encryption BitLocker/firewall/Attack surface reduction/security baselines、Microsoft Defender for Endpoint 統合 EDR・onboard・脅威調査・インシデント triage、App Control for Business）、デバイス更新（update rings・feature updates vs quality updates・Windows Autopatch・Hotpatch・Settings Catalog・Delivery Optimization・更新監視）。
3.1エンドポイント セキュリティ
antivirus / disk encryption（BitLocker）/ firewall / Attack surface reduction ポリシー、security baselines、Microsoft Defender for Endpoint 統合（EDR）、App Control for Business を理解します。
エンドポイント セキュリティは 複数のポリシー を組み合わせ、検知と対応は Microsoft Defender for Endpoint が担います。
3.1.1セキュリティ ポリシー
Intune の antivirus policies は Microsoft Defender ウイルス対策 を構成します。disk encryption policies は BitLocker でディスクを暗号化し、回復キー（recovery keys）の管理・ユーザーの self-service recovery・暗号化コンプライアンスの監視を行います。firewall policies でファイアウォール、Attack surface reduction（ASR）ポリシー で 危険な挙動をブロック（Zero Trust の原則）します。security baselines は Microsoft 推奨の セキュリティ設定の束 を一括適用するテンプレートです。「マルウェア対策」＝antivirus、「挙動ブロック」＝ASR、「設定の束」＝security baseline、と区別します。
3.1.2Defender for Endpoint と App Control
Microsoft Defender for Endpoint を Intune と統合し、EDR（Endpoint Detection and Response）ポリシー を配布、デバイスを オンボードして 脅威の調査・インシデントのトリアージを行います（検知と対応の中核）。App Control for Business は 許可したアプリのみ実行を許す仕組みで、未承認/悪意あるアプリの実行を防ぎます。antivirus/ASR/baseline が「予防的な構成」なのに対し、Defender for Endpoint は「検知と対応」が役割です。
決め手：「マルウェア対策(Defender Antivirus)の構成」＝antivirus policy。「BitLockerでディスク暗号化・回復キー管理」＝disk encryption policy。「危険な挙動をブロック」＝Attack surface reduction(ASR)。「推奨設定の束を一括適用」＝security baseline。「脅威の検知/調査/インシデント対応(EDR)」＝Microsoft Defender for Endpoint。「許可アプリのみ実行」＝App Control for Business。
混同に注意：
①antivirus(マルウェア対策)とASR(挙動ブロック)とsecurity baseline(設定の束)を取り違えない。
②disk encryption=BitLockerの暗号化と回復キー管理。
③Defender for Endpoint(検知と対応EDR)は予防的ポリシーと別レイヤー。
④App Control for Businessは許可リスト方式のアプリ実行制御。
3.1.3この節のまとめ
- antivirus/firewall/ASR/disk encryption(BitLocker)/security baselineで予防的に保護
- Microsoft Defender for Endpoint統合でEDR・onboard・脅威調査・インシデント対応
- App Control for Businessは許可したアプリのみ実行を許す
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. Intune の管理下にある Windows デバイスのディスクを BitLocker で暗号化し、回復キーを管理したい。最適なのはどれですか？
Q2. Office マクロが子プロセスを起動するような危険な挙動を、デバイス上でブロックしたい。最適なのはどれですか？
Q3. Microsoft が推奨する多数のセキュリティ設定を、テンプレートとして一括で適用したい。最適なのはどれですか？
Q4. デバイスの脅威を検知して調査し、インシデントとしてトリアージ・対応したい。Intune と統合する製品はどれですか？
Q5. 組織が許可したアプリだけを実行できるようにし、未承認アプリの実行を防ぎたい。最適なのはどれですか？